自0.12.0版本開始，默認情況下，Kong僅接受來自本地端口的請求， admin_listen 配置項的默認值
如果更改此值，確保將監聽範圍保持在最低限度，以避免將 Admin API 暴露給第三方，這將嚴重損害整個集群的安全性，例如，避免使用諸如 0.0.0.0:8001 這類的值，以免將Kong綁定到所有接口
如果 Admin API 必須在 localhost 接口之外公開，那麽根據網絡安全最佳實踐，需要盡可能的限制網絡層的訪問，考慮到Kong只監聽壹些私有網絡接口，所以可以將訪問權限控制在小的 IP 集合內，這種情況下，基於主機的防火墻（iptables）在限制範圍性的流入流量很有幫助，例如：
同時還鼓勵使用其他控件，例如在網絡設備級別應用的 ACLs，但這個不在這篇文檔的討論範圍之內
Kong的路由設計允許它作為 Admin API 本身的代理，通過這種方式，Kong本身可用於為 Admin API 提供細粒度的訪問控制，如此配置需要引入壹個新的服務，該服務將 admin_listen 的地址定位服務的 url ，例如：
從這裏開始，只需向往常壹樣添加安全控件即可（例如basic或者key驗證，ip限制，訪問控制列表）
Kong與Nginx緊密結合，可以集成到自定義 Nginx 配置的環境中，通過這種方式，可以使用Nginx/OpenResty的強大功能來構建 server/location 塊來實現復雜的安全/訪問控制，此外還可以利用原生的 Nginx 授權和身份驗證機制，ACL 模塊等
有關將Kong集成到自定義Nginx配置的詳細信息，可以參考Kong配置項向導中的章節
企業用戶可以配置基於角色的訪問控制，保護對 Admin API 的訪問，RBAC 允許基於用戶角色和權限模型對資源訪問進行細粒度控制，用戶分配壹個或多個角色，每個角色有壹個或多個權限，然後授予特定資源的訪問權限，通過這種方式，可以強制執行對特定 Admin API 資源的細粒度控制，同時支持擴展以允許更加復雜的場景使用